Análisis de malware

Existen tres casos de uso típicos que hacen necesario el análisis de malware:

• Gestión de incidentes de seguridad informática: Si una organización descubre o sospecha que algún malware puede haber entrado en sus sistemas, es posible que un equipo de respuesta desee realizar un análisis de malware de cualquier muestra potencial que se descubra durante el proceso de investigación para determinar si se trata de malware y, en caso afirmativo, qué impacto podría tener en los sistemas dentro del entorno de la organización objetivo.
• Investigación de malware: Los investigadores de malware académicos o industriales pueden realizar análisis de malware simplemente para comprender cómo se comporta el malware y las últimas técnicas utilizadas en su construcción.
• Indicador de extraccion de compromiso : Los proveedores de productos y soluciones de software pueden realizar análisis de malware masivo para determinar nuevos indicadores potenciales de compromiso; esta información puede alimentar el producto o solución de seguridad para ayudar a las organizaciones a defenderse mejor contra los ataques de malware.

El método por el que se realiza el análisis de malware suele ser de dos tipos:

• Análisis estático de malware: El análisis estático o de código se realiza normalmente diseccionando los diferentes recursos del archivo binario sin ejecutarlo y estudiando cada componente. El archivo binario también se puede desensamblar (o hacer ingeniería inversa) usando un desensamblador como IDA. El código de la máquina a veces puede traducirse en código ensamblador que puede ser leído y comprendido por los humanos: el analista de malware puede entonces dar sentido a las instrucciones de ensamblado y tener una imagen de lo que se supone que el programa debe realizar. Algunos programas maliciosos modernos se crean utilizando técnicas evasivas para derrotar este tipo de análisis, por ejemplo, incrustando errores de código sintáctico que confundirán a los desensambladores pero que seguirán funcionando durante la ejecución real.[3]
• Análisis dinámico de malware: El análisis dinámico o de comportamiento se realiza observando el comportamiento del malware mientras se está ejecutando en un sistema host. Esta forma de análisis se realiza a menudo en un sandbox environment para evitar que el malware infecte realmente a los sistemas de producción; muchas de estas cajas de arena son sistemas virtuales que pueden ser devueltos fácilmente a un estado limpio una vez finalizado el análisis. El malware también puede depurarse mientras se ejecuta utilizando un depurador como GDB o WinDbg para observar el comportamiento y los efectos en el sistema host del malware paso a paso mientras se procesan sus instrucciones. El malware moderno puede mostrar una amplia variedad de técnicas evasivas diseñadas para derrotar el análisis dinámico, incluyendo pruebas para entornos virtuales o depuradores activos, retrasar la ejecución de cargas útiles maliciosas o requerir algún tipo de entrada de usuario interactiva.[4]

El examen de software malicioso implica varias etapas, que incluyen, entre otras, las siguientes:

• Inversión manual de código
• Análisis de Comportamiento Interactivo
• Análisis de propiedades estáticas
• Análisis totalmente automatizado